すべての企業が知っておくべき、オペレーショナル・テクノロジーのセキュリティに関する重要な概念

オペレーショナル・テクノロジー（OT）のセキュリティが、わずか5年足らずの間に「後回しにされていた課題」から「取締役会での議題」へと変貌を遂げたのには理由があります。何十年もの間、孤立した状態で静かに稼働していた産業用システムは、今やネットワーク化され、クラウドに接続され、遠隔からアクセス可能になっています。この変化は、脅威の状況を含め、あらゆるものを一変させました。

OT（オペレーショナル・テクノロジー）セキュリティとは、物理的なプロセスを稼働させるハードウェアやソフトウェアを保護する取り組みのことです。データではなく、物理的なもの――組立ライン、発電設備、水処理用薬品注入システム、石油パイプライン、病院の空調制御装置などです。これらのシステムが故障したり、さらに悪いことに悪意を持って操作されたりした場合、その結果は単なるデータ漏洩にとどまりません。操業停止や安全上の事故、最悪の場合は人命への被害につながります。

このブログでは、OTセキュリティの現状を、実用的な観点から詳しく解説します。OTとは何か、リスクはどこにあるのか、先進的な企業がどのような対策を取っているのか、そしてIT分野で有効なフレームワークがそのまま適用できない理由について説明します。

なぜオペレーショナル・テクノロジー（OT）のセキュリティはITセキュリティとは異なる問題なのか

まずここから始めましょう。なぜなら、ほとんどの組織がここで誤りを犯しているからです。

ITセキュリティは、機密性、完全性、可用性の3つの優先事項を軸に構築されており、その優先順位は上記の通りです。重大な脆弱性へのパッチ適用のためにサーバーをオフラインにしなければならない場合は、そうします。メンテナンスの時間帯を設定し、作業を行います。

OTはそうはいきません。高炉には、緊急パッチを適用するためのメンテナンス時間帯などありません。水処理施設は、セキュリティチームが脆弱なHMIを発見したからといって、稼働を停止させることはできません。OTにおける優先順位の順序は逆転します。安全が第一、次に可用性、その次に完全性、そして機密性が最後になります。これは設計哲学上の欠陥ではなく、設定ミスが人々に物理的な危害を及ぼしかねないシステムにとって、正しい優先順位のセットなのです。

この考え方は、OTサイバーセキュリティにおけるあらゆる意思決定を形作ります。使用できるツールの選択、パッチ適用戦略、インシデント対応マニュアル、そしてアーキテクチャの選択に至るまで、すべてに影響を与えます。これを考慮していない産業用サイバーセキュリティは、産業用サイバーセキュリティとは言えません。それは、異なる問題に不適切に適用されたITセキュリティに過ぎないのです。

IT/OTの融合と、それが攻撃対象領域に実際に与えた影響

過去40年間の大半において、産業用制御システムはエアギャップで隔離されていました。物理的に隔離されていたのです。それらとやり取りする唯一の方法は、システムの前に立つか、専用の閉じたネットワークに接続することでした。その隔離は、誰もそう呼んでいなかったとしても、セキュリティ上の機能でした。しかし、その隔離は現在、ほぼ失われてしまいました。

遠隔監視、予知保全、クラウドベースの分析、生産スケジューリングとのERP統合――これらすべてに、企業ネットワークと工場現場との間の接続性が求められます。これには実用上のメリットがある一方で、セキュリティ面でも現実的な影響が生じています。

企業のITネットワークがOTネットワークに接続されると、IT側に存在するあらゆる脆弱性が、産業環境への潜在的な侵入経路となります。企業のノートPCに届いたフィッシングメール。盗まれたVPN認証情報。保守作業の際にネットワークに接続された、セキュリティ侵害を受けたベンダーのノートPC。これらはすべて、攻撃者が実際に利用してきた現実的な侵入経路です。

ITとOTの融合は後戻りすることはありません。効率化のメリットがあまりにも大きすぎるからです。つまり、企業は境界が依然として存在しているふりをするのではなく、それに伴うリスクの管理に真剣に取り組まなければならないのです。

OT環境特有の脅威ベクトル

OT環境は、IT分野で一般的なランサムウェア、認証情報の盗難、内部関係者による脅威に加え、産業用システム向けに特別に設計された脅威にも直面しています。これらの違いを理解することは、脅威への対応優先順位を決定する上で重要です。

• ICSを標的としたランサムウェア。一部のランサムウェアは、暗号化を行う前に産業用制御システムのプロセスを特定して停止させるよう特別に設計されています。これは、OTネットワークに偶然侵入してしまう一般的なランサムウェアとは異なる脅威のカテゴリーです。
• 国家主体の攻撃者。重要インフラは、10年以上にわたり国家主体の標的となっていることが記録されています。その意図は単なる機能妨害にとどまらず、攻撃者は物理的な危害を防ぐために設計された層である安全システムを具体的に標的にしてきました。
• サプライチェーン攻撃。信頼されている産業用ソフトウェアベンダーの更新メカニズムを侵害することは、複数のOT環境に一度に侵入する最も巧妙な手法の一つです。ベンダーへの信頼は、現実の攻撃対象領域となっています。
• 物理的アクセスを持つ内部者による脅威。OTには、ITにはない物理的な側面があります。制御室や変電所への正当なアクセス権を持つ人物は、いかなるネットワーク制御でも完全に防ぐことのできない損害を引き起こす可能性があります。
• IT側からの侵入、OT側への影響。多くのOTインシデントは、OT内で発生するわけではありません。攻撃者はITネットワークに侵入し、接続ポイントを見つけ出し、そこから直接OTへ転移するか、ITシステムをオフラインにすることで運用停止を余儀なくさせます。OT環境が当初の標的である必要は全くありません。

レガシーシステム：明確な解決策のない問題

築30年の製造施設や地方の電力会社の制御システムを覗いてみると、Windows XP Embeddedや独自のリアルタイムOS、そしてネットワーク接続といえばシリアルケーブルしかなかった時代に設計されたModbus RTUのようなプロトコルで動作している機器が見つかるでしょう。

こうしたシステムには、従来の意味でのパッチ適用は不可能です。ベンダーがすでに存在しない場合もあります。当初の設計担当者がすでに引退している場合もあります。パッチを適用するにはシステム全体の再認証が必要になることがあり、それには数ヶ月を要し、その費用は機器の価値を上回ってしまうこともあります。また、機器自体は機械的にも機能的にも問題がなく、運用上の理由から交換する必要がない場合もあります。

レガシーシステムのOTセキュリティにおける解決策は、「代償的統制」です。システム自体にパッチを適用することはできないため、その周囲のすべてを管理することでシステムを保護します。異常な動作を検知するネットワーク監視。システムが通信できる対象を制限する厳格なネットワークセグメンテーション。物理的なアクセス制御。可能な場合は、隣接するシステムでのアプリケーションのホワイトリスト化。不要なネットワーク経路の削除。

このアプローチは有効です。パッチ適用ほど簡潔ではありませんが、確実にリスクを低減できます。重要なのは、各レガシー資産に対する補完的制御を体系的に文書化し、環境の変化に応じて再評価を行うことです。